Di recente ho eseguito un'installazione pulita di Lion su uno dei miei Mac. Il processo di installazione ha creato un account utente amministrativo. Dopo l'installazione, ho abilitato FileVault per l'intero disco. Quindi, ho creato un utente amministrativo aggiuntivo. Entrambi gli utenti sono in grado di decrittografare l'unità durante l'accesso.

Come potrei revocare i diritti di decodifica a uno degli utenti senza eliminare l'utente o disabilitare temporaneamente FileVault? Ho provato a revocare il privilegio di amministratore di un utente, rendendolo un utente normale, ma sono ancora in grado di decrittografare l'unità durante l'avvio.

Usa fdesetup:

sudo fdesetup remove -user username

Vedi: http://derflounder.wordpress.com/2012/07/25/using-fdesetup-with-mountain-lions-filevault-2/

Non è impossibile (Anche se hai cancellato l'utente, potresti averlo reso più complicato!)

Ho scritto l'articolo "jaydisc" collegato e testato che funziona ancora in 10.7.4:

Supponiamo di avere un utente amministratore "charlie" che si desidera poter utilizzare, ma non sbloccare, il computer:

sudo su - charlie  
$ passwd 
Changing password for charlie.
Old Password:**[enter old password here]**
New Password:**[press enter]**
Retype New Password:**[press enter]**
$ 

Nota che non puoi farlo:

sudo passwd charlie
Changing password for charlie.
New password:

perché se premi invio quando ricevi il 'nuovo prompt password' tornerà e dirà:

Password unchanged.

Sembra che la rimozione temporanea delle password degli utenti le rimuova dal menu di avvio di EFI:

http://www.tuaw.com/2011/12/12/prevent-certain-accounts-from-unlocking-filevault-2/

Sfortunatamente, nel mio caso, alcuni degli utenti sono utenti Open Directory Mobile e non riesco a trovare un modo per impostare la password su vuota.

FileVault 2 e Recovery HD

Recovery HD da non confondere con il sistema operativo di ripristino (uno è maggiore dell'altro).

Quando si abilita FileVault 2 per un utente: la partizione HD Apple_Boot Recovery nascosta non crittografata, separata da ma critica al volume di avvio crittografato, viene temporaneamente montata per le scritture su EFI e altri file. Se si desidera visualizzare l'attività di questo file system, abilitando l'utente a scopi di sblocco:

• prima di fare clic su Fine , utilizzare un comando come fs_usage o un'applicazione come fseventer .

Uno sguardo all'attività suggerisce che le modifiche al volume non crittografato - in relazione all'account utente sul volume crittografato - non sono banali .

Se a un utente viene data l'autorizzazione inappropriata per sbloccare

Forse un aggiornamento a Lion (qualcosa di più grande di Build 11A511) fornirà un modo per rimuovere, dalla finestra di login di EFI, un utente che non dovrebbe più essere in grado di sbloccare il volume di avvio.

Nel frattempo riesco a pensare solo a due metodi che possono essere usati.

Metodo A: disabilitare quindi abilitare FileVault

1. disabilita FileVault 2

2. consentire il completamento della conversione all'indietro

3. riavvia il sistema operativo

4. abilita FileVault 2, ma non per quell'utente.

Metodo B: rimuovere l'utente ma non la home directory, eccetera

Non ho testato questo metodo, immagino che potrebbe funzionare quanto segue:

1. di riserva

2. rimuovere l'utente ma non la home directory dell'utente

3. riavvia il sistema operativo

4. crea un nuovo utente con lo stesso RecordName dell'originale

5. impostare un numero UniqueID diverso dall'originale

6. associa la home directory precedente al nuovo utente.

Ecco la risposta molto semplice su come disabilitare l'accesso di un utente precedentemente abilitato a un'unità crittografata FileVault 2:

Nel terminale, utilizzare:

sudo fdesetup remove -user Username

Successivamente vedrai l'utente disabilitato nell'elenco degli utenti disponibili per l'abilitazione in Preferenze di Sistema-> Sicurezza e Privacy -> FileVault come verifica che la disabilitazione sia avvenuta correttamente